Aggregator

三菱太陽光発電システム用モニターのエコガイドTABには、複数の脆弱性が存在します。

三菱電機製FAエンジニアリングソフトウェア製品には、複数の脆弱性が存在します。

HIBP允许用户检查账户是否在数据泄露中暴露。对于敏感泄露（如成人网站），仅邮箱所有者可通过验证链接搜索。当前有74个敏感泄露案例，包括Adult FriendFinder和Ashley Madison等。

微软在Windows 11记事本中新增本地AI模型支持，可生成文本、重写或总结内容。设备需配备NPU单元以实现本地处理，无需云端传输数据。该功能目前处于预览阶段。

HackerNews 编译，转载请注明出处： 在一次新的供应链攻击中，超过180个NPM包被一种自复制恶意软件击中，该恶意软件用于窃取机密、在GitHub上发布这些机密，并将私有仓库变为公开仓库。 作为攻击的一部分，黑客入侵了超过40个开发者账户，并在NPM注册表上发布了700多个恶意包版本。 这次攻击在9月15日被Loka高级软件工程师Daniel dos Santos Pereira发现，但攻击始于9月14日，当时只有不到十几个恶意包被发布。到当天结束时，大约有50个包版本被发布。 到了9月16日，这次被命名为Shai-Hulud的攻击（基于代码将机密信息转储到的公共仓库的名称）已经影响了超过180个包，Ox Security警告说。 一些受影响的包包括@ctrl/tinycolor（每周下载量超过200万）、ngx-bootstrap（每周下载量30万）、ng2-file-upload（每周下载量10万）以及多个CrowdStrike NPM包（这些包被立即移除）。 这些包被注入了一个post-install脚本，该脚本旨在获取TruffleHog机密扫描工具以识别和窃取机密，并收集环境变量和IMDS暴露的云密钥。 该脚本还会验证收集到的凭据，如果识别到GitHub令牌，就会使用它们创建一个公共仓库，并将机密信息转储到其中。 此外，它还会推送一个GitHub Actions工作流，将每个仓库中的机密信息泄露到一个硬编码的webhook（由于超出允许的回调限制而被停用），并将私有仓库迁移到标记为“Shai-Hulud迁移”的公共仓库。 网络安全公司Socket在GitHub上发现了超过700个带有Shai-Hulud迁移标签的公共仓库，这些仓库都是在攻击发生时创建的。 使用受害者受损账户创建的公共GitHub仓库来发布被盗机密，这与几周前的s1ngularity供应链攻击中看到的模式相似。事实上，安全公司Wiz表示，Shai-Hulud的首批受害者也是s1ngularity攻击的已知受害者。 使这次攻击与众不同的是恶意代码，它使用任何识别到的NPM令牌来枚举和更新受损害维护者控制的包，并将恶意post-install脚本注入其中。 “这次攻击是一种自我传播的蠕虫。当一个受损的包在受害环境中遇到额外的NPM令牌时，它将自动发布它可以访问的任何包的恶意版本，”Wiz指出。 根据StepSecurity对Shai-Hulud攻击流程的技术分析，该蠕虫针对Linux和macOS执行环境，并故意跳过Windows机器。 JFrog指出，相同的窃取数据的有效载荷的多个变体已被注入到受损包的恶意版本中。该代码被看到针对GitHub、NPM、AWS和Google Cloud凭证，以及Atlassian密钥和Datadog API密钥。 “尽管主要功能相同，但一些版本存在细微差异，表明攻击者在活动过程中进行了迭代调整。例如，一些版本将‘Shai-Hulud’仓库设为私有，隐藏起来避免被发现。另一个版本还试图窃取Azure凭证，”JFrog说。 根据GitGuardian的说法，作为这次攻击的一部分，共有278个机密被公开泄露，其中包括从本地机器收集的90个和通过恶意工作流被泄露的188个。大多数机密被迅速撤销，但仍有数十个，主要是GitHub API令牌，仍然有效。 安全公司警告说，恶意代码的自我传播潜力可能会使这场活动再持续几天。 为了避免被感染，用户应该警惕那些在NPM上有新版本但在GitHub上没有的包，并建议固定依赖项以避免意外的包更新。 Wiz表示，它没有观察到新的Shai-Hulud仓库的创建，但由于蠕虫通过使用受害者维护者的凭证来发布新包来自动化传播，任何受损账户都可能被用来重新启动攻击。 “这个循环允许恶意软件持续感染维护者可以访问的每一个包。每个发布的包都成为了一个新的传播载体：一旦有人安装它，蠕虫就会执行、复制，并进一步传播到生态系统中，”安全公司Aikido指出。 Wiz称Shai-Hulud是“迄今为止观察到的最严重的JavaScript供应链攻击之一”，而ReversingLabs警告说，NPM生态系统中的包依赖关系放大了活动的影响。 ReversingLabs表示，受影响的各方包括“科技公司创始人和首席技术官；提供软件开发服务的公司；为非营利组织工作的开发人员；在赌博硬件和软件以及创建办公开发套件的公司中担任技术领导的开发人员；人工智能公司的开发人员；安全供应商——包括一家领先的端点检测和响应（EDR）供应商；学生开发人员；以及其他每天依赖NPM构建软件的人。” 为了检测潜在的入侵，NPM用户被建议检查其GitHub账户下创建的新仓库或分支，搜索包含其组织名称的名为Shai-Hulud或Shai-Hulud迁移的公共仓库，审查GitHub审计日志，并查找可疑的API调用。 如果他们发现任何入侵迹象，用户应该撤销并重新发放所有GitHub和NPM令牌，以及SSH和API密钥、环境变量机密，并重新安装其仓库中的所有包。 Shai-Hulud是在s1ngularity攻击和最近Josh Junon（Qix）被入侵之后，针对NPM生态系统的第三次重大供应链攻击，Josh Junon是18个NPM包的维护者，这些包每周的总下载量超过25亿次。 “这些攻击并非异常，只要攻击向量仍然有效，就会继续发生。组织需要确切了解其软件环境中包含的内容，并在出现问题时做好采取行动的准备。这意味着审计依赖项，纳入软件材料清单（SBOM）以提供透明度并能够快速进行漏洞评估，通过特权访问管理实施强大的身份验证和访问控制，监控异常行为，并保护机密，以便被盗凭证不能被武器化，”Keeper Security首席信息安全官Shane Barney说。     消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

文章解释了错误代码521的原因及解决方法，指出该错误通常由服务器配置或网络连接问题引起，并提供了排查和修复建议。

日本電気株式会社が提供するUNIVERGE IX/IX-R/IX-Vシリーズルータには、クロスサイトスクリプティングの脆弱性が存在します。

Windows 11 画图应用新增项目文件 (.paint)，支持保存图层、画布、透明度和基本工具状态，方便后续编辑和分享。用户可将文件导出为 PNG、JPEG 等格式，并通过不透明滑块功能调整笔触透明度。该功能目前在测试版中提供。

HackerNews 编译，转载请注明出处： 苹果公司在周一宣布了iOS和macOS平台的重大更新，并修复了一个在旧平台上被利用的漏洞。共修复了50多个漏洞。 iOS 26和iPadOS 26为最新一代iPhone和iPad设备发布，修复了27个独特的CVE漏洞，这些漏洞可能导致内存损坏、信息泄露、崩溃和沙箱逃逸。 WebKit是修复最多的组件，共修复了5个安全缺陷，这些缺陷可能导致进程崩溃、Safari崩溃，或者允许网站在未经同意的情况下访问传感器信息。 iOS更新还修复了Apple Neural Engine、蓝牙、CoreAudio、CoreMedia、内核、Safari、沙箱、Siri、系统等十几个组件中的漏洞。 苹果公司发布了macOS Tahoe 26，修复了38个独特的CVE漏洞，其中11个漏洞也在iOS 26和iPadOS 26中得到了修复。 受影响最严重的组件包括WebKit（修复了5个漏洞）、AppleMobileFileIntegrity和SharedFileList（各修复了4个问题）、蓝牙和沙箱（各修复了3个漏洞）。 其他修复的组件还包括AppKit、AppSandbox、ATS、CoreMedia、CoreServices、FaceTime、Foundation、GPU驱动程序、ImageIO、通知中心、RemoteViewServices、安全初始化、Spotlight和StorageKit。 周一，苹果还发布了iOS 18.7和iPadOS 18.7，修复了12个安全缺陷，并推出了iOS 16.7.12、iPadOS 16.7.12、iOS 15.8.5和iPadOS 15.8.5，修复了CVE-2025-43300漏洞。这是一个ImageIO漏洞，曾在针对WhatsApp用户的攻击中被利用。苹果在8月20日首次发布了针对该漏洞的补丁。 苹果还为macOS Sequoia 15.7和macOS Sonoma 14.8发布了大量补丁，并发布了tvOS 26、watchOS 26和visionOS 26，每个系统都修复了近二十个漏洞。 Safari 26修复了七个安全缺陷，而Xcode 26修复了五个漏洞。 除了CVE-2025-43300外，苹果没有提到其他已修复的漏洞在野外被利用的情况。更多信息可以在公司的安全发布页面找到。     消息来源：securityweek； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

文章描述了一个技术问题：用户尝试访问某篇文章时遇到了Cloudflare的错误代码521（Connection Timed Out），这通常表示服务器未及时响应请求或连接超时。

立即查看漏洞详情

Dynamic Application Security Testing (DAST) platforms have become fundamental for safeguarding web applications as digital assets and attack surfaces scale in both size and complexity. The modern DAST landscape is shaped by increased API adoption, rapid deployment cycles, and the rise of AI-driven vulnerabilities, making 2025 a turning point for intelligent, automated security solutions. This […]

The post Top 10 Best Dynamic Application Security Testing (DAST) Platforms in 2025 appeared first on Cyber Security News.

Claude AI在2025年8月初至9月初因技术故障导致质量下降，主要问题包括路由错误、输出损坏和编译错误。Anthropic公司强调这些问题由技术BUG引起，并非人为干预，已修复并采取措施防止类似问题再次发生。

HackerNews 编译，转载请注明出处： 纽约的风险投资和私募股权公司Insight Partners正在通知数千名个人，其个人信息在勒索软件攻击中被盗。 该公司于2月披露了这一网络安全事件，当时表示，一名威胁行为者在一次“复杂的社交工程攻击”后获得了其网络的访问权限。 两个月后，Insight Partners证实，攻击者在入侵期间还窃取了敏感数据，包括银行和税务信息、现任和前任员工的个人信息、与有限合伙人相关的信息，以及基金、管理公司和投资组合公司的信息。 “正在向所有受影响数据的个人邮寄正式通知信，包括提供免费的信用或身份监控服务。请注意，如果您在2025年9月底之前没有收到通知信，那么我们已确定您的个人数据未受到此次事件的影响。”该公司在随后的一份声明中表示。 尽管目前还没有勒索软件团伙声称对此负责，但Insight Partners在周一提交给加州总检察长的违规通知中透露，并首次被TechCrunch发现，威胁行为者在10月入侵了其网络，并在1月16日数据泄露后加密了服务器。 “Insight Partners对此次事件的调查确定，2024年10月25日左右，一名威胁行为者成功利用复杂的社交工程攻击获得了受影响服务器的访问权限，”该公司表示。 “一旦进入，威胁行为者开始从这些服务器中窃取数据，并从2025年1月16日东部时间上午10点左右开始加密这些服务器。” 本周在缅因州总检察长的一份文件中，该公司还披露，由此产生的数据泄露影响了12657人。 Insight Partners管理着超过900亿美元的受监管资产，并在其30年的历史中，投资了全球800多家软件和技术初创公司。 Insight Partners的一位发言人尚未对BleepingComputer就此次事件提出的多次评论请求做出回应。       消息来源：bleepingcomputer； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

文章描述了一个技术问题：当访问某个网站时出现错误代码521（Web Server Is Down）。该错误通常由Cloudflare引发，表示目标服务器暂时无法处理请求。常见原因是服务器过载、配置错误或网络连接问题。

Google has released an emergency security update for its Chrome web browser to address a high-severity zero-day vulnerability that is being actively exploited in the wild. Users are strongly urged to update their browsers immediately to protect against potential attacks. The vulnerability, tracked as CVE-2025-10585, is the latest in a series of zero-days discovered and […]

The post Google Chrome 0-Day Vulnerability Actively Exploited in the Wild – Patch Now appeared first on Cyber Security News.

9月15日，一场针对npm生态系统的大规模供应链攻击开始爆发，这种被命名为"Shai-Hulud"的蠕虫以其自我复制能力迅速引起安全研究人员的关注。截至目前，已有约150个npm包被感染，包括CrowdStrike公司的多个软件包。

​既是旗舰，也是普惠。

再一次，巨头喊出「智能眼镜首先要是一个好眼镜」。

ISC Stormcast 播客讨论周四网络威胁情况，值班处理员Guy Bruneau报告绿色威胁级别。用户即将参加拉斯维加斯的应用安全课程（9月22日至27日）。提供DShield传感器、DNS Looking Glass等工具及隐私政策链接。